INFORMATIONEN ZU PSD2 UND SCA - Travel Management - Allgemein
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
INFORMATIONEN ZU PSD2 UND SCA
AUSWIRKUNGEN AUF REISEBUCHUNGEN
ÜBER PERSÖNLICHE KREDITKARTEN
DURCH DEN VERPFLICHTENDEN EINSATZ VON
SCA (STRONG CUSTOMER AUTHENTICATION)
AB 1.1.2021 (VERSION 2)
Einige wichtige Worte vorab:
Die Unterlage ist nach bestem Wissen und Gewissen erstellt und enthält keine
rechtliche Beratung und ersetzt diese auch in keinem Fall. btm4u übernimmt keine
Haftung für Inhalt und Richtigkeit. Für konkrete juristische Fragen wird empfohlen
einen Rechtsanwalt zu beauftragen.
Diese Information ist entstanden, weil das Thema zwar seit September 2019 bereits
rechtlich gültig ist, aber zum 31.12.2020 die „Schonfrist“ (also Straffreiheit für die
eCommerce-Anbieter) endet. Mit dieser Information möchte ich nochmals dringend
auf das Thema aufmerksam machen, da durch verschiedene Gespräche und eine
verbandsinterne Veranstaltung des VDR e.V. deutlich wurde, dass auch nach über
einem Jahr „Übergangszeit“ (vom 14. September 2019 bis 31. Dezember 2020) noch
nicht alles umgesetzt zu sein scheint und die Zeit knapp werden kann.
Mir geht es besonders darum, mit dieser Information Verantwortliche in
Unternehmen zu erreichen und – sofern nicht schon geschehen – ihnen eine Idee zu
geben, für mögliche notwendige Aktionen und Informationen ihrer Reisenden. Leider
arbeiten Anbieter aktuell noch an Lösungen, und ich bin nicht sicher, ob alles ab
1.1.2021 reibungslos vonstatten gehen wird. Die Basis der Unterlage sind
Recherchen sowie mehrere Gespräche die ich zu diesem Thema geführt habe.
Diese Unterlage hat keinen Anspruch auf Vollständigkeit, sondern möchte – bei
Bedarf – dazu auffordern sich jetzt mit dem Thema zu beschäftigen und sich
tiefergehend zu informieren. Sollten sich Fehler eingeschlichen haben, bitte ich das
zu entschuldigen, lassen Sie mich Änderungen gerne wissen, dann passe ich es an.
Über ein Feedback zu dieser Unterlage freue ich mich.
Die Erstellung dieser Unterlage hat einige Stunden gekostet. Es war mir ein Anliegen
Sie zu informieren und natürlich ist es Marketing für meine Unternehmensberatung.
Gerne unterstütze ich bei diesem oder anderen Fachthemen beratend, dann jedoch
gegen Beraterhonorar, ich hoffe hier auf Verständnis, dass ich keine kostenfreie
Beratung oder Telefonate zu diesem Thema anbiete.
© btm4u - Andrea Zimmermann, Heidelberger Landstraße, 64297 Darmstadt Seite 1 von 11
Ihre Unternehmensberatung für Travel Management
Tel. 06151-953237 * E-Mail: andrea.zimmermann@btm4u.de * www.btm4u.deINFORMATIONEN ZU PSD2 UND SCA Der nachstehende Artikel begrenzt sich auf das Themengebiet der Nutzung von Kreditkarten im Umfeld von Geschäftsreisen. Selbstverständlich haben die PSD2 und SCA auch Auswirkungen auf viele andere Bereiche von Zahlungen, darauf wird nicht eingegangen. NEU Version 2: Die EU-Länder setzen die Richtlinie jeweils in das nationale Recht um, dabei kann es zu Abweichungen in der Auslegung und Umsetzung kommen. Dieser Text bezieht sich auf die Umsetzung in Deutschland bzw. Unternehmen/eCommerce-Unternehmen mit Sitz in Deutschland. Für international agierende Unternehmen kann es daher wichtig sein, sich die Regelungen der für sie relevanten Länder anzusehen. Bei Dienstleistern die ihren Sitz im Ausland haben kann es daher auch zu abweichenden Regelungen kommen. WORUM GEHT ES? – VORAB EINIGE BEGRIFFE UND HINTERGRUNDWISSEN PSD2 Die Zahlungsdiensterichtlinie PSD2 (Payment Services Directive2) ist eine EU- Richtlinie zur Regulierung von Zahlungsdiensten und Zahlungsdienstleistern. Diese Richtlinie wurde im 13. Januar 2018 in deutsches Recht umgesetzt. Ein wichtiges Ziel ist den Verbraucherschutz zu stärken, d. h. sie richtet sich an Endverbraucher. Die PSD2 gilt für Zahlungen in EU/EWR-Währungen zwischen im EU/EWR-Raum ansässigen Zahlungsdienstleistern. Darüber hinaus findet sie teilweise auch Anwendung auf Zahlungen in Nicht-EU/EWR-Währungen (z.B. US-Dollar oder britische Pfund) sowie wenn ein Zahlungsdienstleister außerhalb des EU/EWR-Raums ansässig ist (z.B. Schweiz oder USA). Zum 14. September 2019 trat die zweite – für uns im Travel besonders relevante – Stufe der PSD2 in Kraft. Sie verpflichtet insbesondere Anbieter von Online-Shops und dazu gehören in unserem Sinne auch Reiseportale, über die Buchungen und Reservierungen durchgeführt werden können, zu einer Erhöhung der Sicherheit. Der Schutz vor Missbrauch wurde erhöht durch den verpflichtenden Einsatz der SCA, sofern ein Kunde nicht mit der Karte vor Ort einen Einkauf oder eine Zahlung tätigt. SCA Ein zentraler Punkt der PSD2 ist die SCA. SCA steht für Strong Customer Authentication, zu deutsch starke Kundenauthentifizierung. Dies erhöht die Sicherheit im Zahlungsverkehr. Wir kennen das: Wenn wir vor Ort mit einer Kreditkarte zahlen, müssen wir entweder unterzeichnen oder eine PIN eingeben, damit die Karte autorisiert wird. Dies ist ein sicheres Verfahren. Bei Käufen im Internet oder Reservierungen per E- Mail oder Telefon war dies so nie möglich. Man nannte seine Kartennummer, die © btm4u - Andrea Zimmermann, Heidelberger Landstraße, 64297 Darmstadt Seite 2 von 11 Ihre Unternehmensberatung für Travel Management Tel. 06151-953237 * E-Mail: andrea.zimmermann@btm4u.de * www.btm4u.de
INFORMATIONEN ZU PSD2 UND SCA Gültigkeit der Karte und teils noch den CVC Code, eine dreistellige Nummer, die zur Karte gehört und auf der Rückseite angegeben ist. Dies genügt nach der neuen Regelung seit 14.9.2019 nicht mehr. Allerdings gibt es für die Online Anbieter eine Schonfrist, die Straffreiheit zusagt. Viele Shop Anbieter hatten seinerzeit dargestellt, dass sie die Umsetzung der notwendigen neuen Programmierung und den Schnittstellen nicht kurzfristig umsetzen konnten. Die EU gab daher eine Frist bis zum 31.12.2020. Zukünftig wird eine sogenannte Zwei- Faktor-Authentifizierung (2FA) benötigt. SCA-RTS RTS steht für Regulatory Technical Standards on strong customer authentication and secure communication under PSD2. Die aktuelle Fassung ist bei der EBA (European Banking Authority) zu finden (Link siehe am Ende des Dokuments). In dieser Unterlage finden sich auch die Umsetzungsvorgaben für die PSD2 sowie die Ausnahmemöglichkeiten und Besonderheiten. Spannend sind dabei vor allem die Artikel zum Whitelisting, wiederkehrende Beträge, Kleinstbeträge (soweit bekannt bis 30 EUR) und zu den Sicheren Prozessen. eCommerce-Anbieter, die belegen können, dass sie im Sinne der SCA-RTS über gesicherte Prozesse verfügen, können sich nach dem Artikel 17 von der PSD2 auf Antrag befreien lassen. Solche Anträge sind für deutsche Unternehmen bei der BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) zu stellen. Aktuell scheint es leider so, als hätten das noch nicht viele unserer bekannten Anbieter getan, denn bisher hört man eher „wir arbeiten an der Umsetzung“. Es bleibt also spannend. WAS ÄNDERT SICH ZUM 1.1.2021? Online- und Kartenzahlungen müssen spätestens ab dem 1.1.2021 durch zwei unabhängige Merkmale bestätigt werden. Viele von uns kennen das schon vom Onlinebanking oder anderen Zugängen mit Zahlungsfunktionen, wir werden neben Zugangsdaten und Kennwort noch um eine TAN, Fingerabdruck oder ähnliches gebeten. Nach den Vorgaben der PSD2 kann zukünftig ohne die Zwei-Faktor- Authentifizierung (2FA) kein Zahlungsvorgang im eCommerce mit persönlichen Kreditkarten erfolgen. Die Anbieter haben die Wahl, welche zwei Merkmale sie nutzen/abfragen. Die Vorgabe der Regelung lautet: Es gibt drei Kategorien und daraus sind immer zwei Merkmale notwendig für eine 2FA, z. B. Karte + PIN (vor Ort) oder PIN plus Passwort über eine Abfrage über z. B. das Mobiltelefon. © btm4u - Andrea Zimmermann, Heidelberger Landstraße, 64297 Darmstadt Seite 3 von 11 Ihre Unternehmensberatung für Travel Management Tel. 06151-953237 * E-Mail: andrea.zimmermann@btm4u.de * www.btm4u.de
INFORMATIONEN ZU PSD2 UND SCA Kategorie Mögliche Merkmale (Beispiele) Besitz Handy, Karte, TAN-Generator Wissen PIN, Passwort Inhärenz Fingerabdruck Die RTS gibt einige Möglichkeiten, einschließlich der Befreiung, von der PSD2. Dafür müssen, soweit mir bekannt Anträge gestellt werden. Daher kann es sein und ist zu hoffen, dass einige Portale befreit werden/sind. Zu diesen gesicherten Prozessen kann man möglicherweise die GDS (Global Distribution Systems – Buchungssysteme insbesondere im Einsatz bei den Reisebüros) zählen und hoffentlich auch OBEs (Online Booking Engines). Ob diese Systeme bereits Anträge auf Befreiung gestellt haben ist mir aktuell nicht bekannt. Ich hoffe für uns und alle Mitarbeiterkreditkarteninhaber, dass sich das zum 1.1.2021 klärt, die Kurzarbeit bildet hier wohl eine zusätzlich Hürde. Grundsätzlich haben wir wohl Glück im Unglück, durch die geringen Reisevolumen in Coronazeiten. Es ist daher aus meiner Sicht wichtig mit den firmeninternen Anbietern zu klären, wie die PSD2 bei ihnen umgesetzt wird oder ob sie eine Ausnahme bewirken konnten. WAS BEDEUTET DAS FÜR DAS BUSINESS TRAVEL MANAGEMENT Zentrale Reisestellenkarten Zuerst die gute Nachricht: Die Zeit vom Januar 2018 bis heute wurde von Kreditkartenanbietern genutzt, um für die vielfach genutzten Spezialprodukte wie Reisestellenkarten (z. B. AMEX BTA oder AirPlus Company Account) Freigaben zu erwirken. Welche Anbieter diese bewirkt haben kann ich nicht mit Sicherheit sagen, daher fragen Sie im Zweifel bei Ihrem Kartenanbieter nach. Für Karten, die durch die Unternehmen zentral eingesetzt werden und wo die Haftung bei den Unternehmen und nicht beim Endverbraucher liegt, ändert sich nichts. Es wird keine SCA benötigt, sofern der Anbieter die Freigabe vorliegen hat. M eine Em pfehlung: Fragen Sie zur Sicherheit bei Ihrem Anbieter nach, ob dieser eine Ausnahmegenehmigung erhalten hat. Sollten Sie, wie manche kleinen oder mittleren Unternehmen eine Plastik-Kreditkarte Ihrer Hausbank für zentrale Zahlungen nutzen, könnte dies möglicherweise zukünftig ein Problem sein. Stellen Sie sicher, welche Lösungen Ihre Bank für Sie hat. Virtuelle Kreditkartenlösungen Auch für diese Produkte können Ausnahmegenehmigungen bewirkt werden. Hier handelt es sich um einmalig für eine Buchung/Zahlung softwarebasiert erstellte virtuelle Karten mit allen Merkmalen einer Plastikkarte (Kartennummer, Gültigkeit, © btm4u - Andrea Zimmermann, Heidelberger Landstraße, 64297 Darmstadt Seite 4 von 11 Ihre Unternehmensberatung für Travel Management Tel. 06151-953237 * E-Mail: andrea.zimmermann@btm4u.de * www.btm4u.de
INFORMATIONEN ZU PSD2 UND SCA CVC) aber eben nicht real existent. Diese Karten werden im jeweiligen Kreditkartenportal der Anbieter wie beispielsweise American Express oder Lufthansa AirPlus durch die Unternehmen für jede Buchung generiert. Auch gibt es Lösungen von Buchungsportalen, die diese Erstellung von virtuellen Karten in ihren Softwarelösungen integriert haben. Dort wird automatisiert bei jeder Buchung die für das Unternehmen getätigt wird, im Hintergrund eine solche virtuelle Karte generiert und von dem Portal für die Buchung, Garantie und Zahlung genutzt. Diese Daten werden dann beispielsweise von Hotelportalen zur Zahlung an die Hotels weitergeleitet. Diese Zahlungsart erfreut sich seit einigen Jahren im Travel Management großer Beliebtheit, unter anderem weil es die Reisenden entlastet (keine Zahlung mehr vor Ort) und den Unternehmen eine bessere Übersicht der Kosten durch integrierte Reportingmöglichkeiten gibt. Es wurde befürchtet, dass diese Zahlungsart (es werden ja im Hintergrund virtuelle Mastercards, Visacards oder auch American Expresscards generiert) ebenfalls von der SCA betroffen sein könnte. Laut American Express und AirPlus wurden für deren Produkte Ausnahmen bewirkt. Ob das auch für andere Anbieter gilt, weiß ich nicht. M eine Em pfehlung: Klären Sie mit Ihren Dienstleistern und den von Ihnen genutzten Onlineportalen für Reisebuchungen unbedingt, ob diese eine technische Lösung für die SCA-freie Buchung durch Reisestellenkarten oder virtuelle Zahllösungen umgesetzt haben. Sprechen Sie mit Ihrem Kreditkartenanbieter und lassen Sie sich die Befreiung bestätigen. Mitarbeiterkreditkarten – jetzt wird es spannend und wichtig Sollten Ihre Mitarbeiter für Reisen persönliche Kreditkarten einsetzen, unabhängig ob über das Firmenkonto oder das Privatkonto, können Sie sich entspannt zurücklegen, wenn diese Mitarbeiter die Karten immer nur persönlich einsetzen. Vielfach erlebe ich es in Beratungsprojekten oder Seminaren jedoch, dass die Realität anders aussieht. Die Karten werden durch Dritte, wie Reisestellen, Assistenzen, Reisebüros genutzt. Die Buchungen erfolgen durch diese, nennen wir sie schlicht Stellvertreter der Reisenden, im Internet unter Angabe der Kartennummer und Gültigkeit. Teilweise werden sogar die CVC Angaben diesen Stellvertretern zur Verfügung gestellt! Ich habe auch schon (ungeschützte) Excellisten in Reisestellen dazu gesehen. Dies war schon immer nicht statthaft und widerspricht dem ordentlichen sicheren Umgang mit der Kreditkarte. Wenn dies bekannt wird, kann dies zum Ausschluss der Haftungsbegrenzung bei Missbrauch führen, eben weil mehrere Personen und nicht nur der Karteninhaber die Karte einsetzen kann. Aber über diese Regelungen wurde sich in der Vergangenheit teilweise hinweggesetzt, einfach um pragmatisch Buchungen vornehmen zu können. © btm4u - Andrea Zimmermann, Heidelberger Landstraße, 64297 Darmstadt Seite 5 von 11 Ihre Unternehmensberatung für Travel Management Tel. 06151-953237 * E-Mail: andrea.zimmermann@btm4u.de * www.btm4u.de
INFORMATIONEN ZU PSD2 UND SCA Ab dem 1.1.2021 werden alle Dienstleister – sofern sie sich gesetzeskonform verhalten und keine Ausnahmegenehmigung bei der BaFin bewirkt haben – bei eCommerce Buchungen für den Zahlvorgang eine zusätzliche Abfrage (siehe oben) einbauen. Diese Abfrage z. B. ein einmaliges Kennwort sowie eine vorher festgelegte Sicherheitsfrage, erfolgt in der Regel über das Mobiltelefon oder per E-Mail. Mit diesen Daten ist die Zahlung zu autorisieren. Hierfür kann es verschiedene Wege geben. In der Regel kann dies direkt über das Mobiltelefon erfolgen mit einem Link ins Internet erfolgen. Um Assistenzen aktiv zu halten könnte man als Empfänger die Mobilnummer oder Mailadresse der Assistenz hinterlegen, ob das für Reisende umsetzbar ist und diese nie selbst die Karte im Internet einsetzen wollen sollte genau überlegt werden. Bitte bedenken Sie, auch eine reine Buchung (ohne Zahlung) kann eine SCA-Abfrage auslösen, wenn der Leistungserbringer eine Kreditkartenprüfung vornimmt bzw. einen Garantiebetrag einbuchen will. Bis zu einem Kleinstbetrag von 30 EUR soll die SCA-Abfrage entfallen, aber dieser Betrag dürfte häufig überschritten werden. Dies alles sind Vorgänge, die Sie in der Vergangenheit nicht bemerkt haben, die jetzt jedoch eine SCA-Abfrage verursachen können. Diese Regelung gilt soweit bisher bekannt für alle persönlichen Kreditkarten, unabhängig davon ob es sich um Mitarbeiterkreditkarten über das private oder geschäftliche Konto handelt oder, ob die Haftung vom Unternehmen übernommen wird. Hierfür gibt es bisher wohl keine Ausnahmen. ACHTUNG: Diese Nummer / Abfrage ist laut Vorgaben für die SCA maximal 5 Minuten gültig. Das bedeutet, die Reisenden sollten zukünftig alle Buchungen mit SCA-Pflicht selbst durchführen. Positiv: Buchungen die per E-Mail oder telefonisch erfolgen sind sogenannte „MOTO“ Transaktionen (= Mail-Order-Telephone-Order), sind von der SCA befreit. Bitte fragen Sie mich nicht, wieso man hier die Sicherheitsrisiken scheinbar geringer einschätzt als bei eCommerce-Buchungen. Es gibt also noch Möglichkeiten die SCA- Abfrage zu umgehen, jedoch wollen wir denke ich alle nicht zurück in das Telefonzeitalter von Reisebuchungen. Ein Lichtblick für Mitarbeiterkreditkarten Nun sind sich die Kartenanbieter insbesondere im Travel Management Umfeld bewusst, dass dies eine Herausforderung wird und man hat Wege gesucht, um nicht bei jeder Buchung zukünftig die SCA umsetzen zu müssen. Daher soll dem Inhaber der Karte die Möglichkeit gegeben werden bestimmte Leistungsanbieter von der Pflicht zur Abfrage einer SCA zu befreien. Es bleibt abzuwarten, wie dies im realen © btm4u - Andrea Zimmermann, Heidelberger Landstraße, 64297 Darmstadt Seite 6 von 11 Ihre Unternehmensberatung für Travel Management Tel. 06151-953237 * E-Mail: andrea.zimmermann@btm4u.de * www.btm4u.de
INFORMATIONEN ZU PSD2 UND SCA Leben ab dem 1.1.2021 funktioniert und ob jedes Portal eine Freigabe durch den Karteninhaber erkennt. Wir können es hoffen, wissen werden wir es alle erst nach den ersten Buchungen in 2021. Um diese Freischaltung umzusetzen müssen sich die Karteninhaber in ihr Kreditkartenportal einloggen. Die Lösungen sind aktuell – soweit mir bekannt – noch unterschiedlich. Teilweise kann man die Zahlungen der letzten Monate einsehen und in einer Liste kenntlich machen, welche dieser Anbieter man zukünftig oft nutzt und keine SCA wünscht. Teilweise wird dies mit der ersten Zahlung mit SCA-Abfrage verknüpft, indem man dann einen Haken für die Freigabe für die Zukunft setzt. Sie sehen also, für alle, die ihre Reisebuchungen über die persönliche Kreditkarte zahlen und nicht selbst buchen wird es ab 1.1.2021 zu Herausforderungen kommen. Das Gute: Die Karteninhaber werden von den Kartenherausgebern persönlich angeschrieben und erhalten alle notwendigen Informationen. Unser Problem im Travel Management ist natürlich vielfach die Flut an Informationen, die Reisende erhalten und ... einfach dass sie nicht (richtig) gelesen werden. Was ich aktuell nicht gesichert weiß: Wie ist es mit der Haftung für die Umsätze, die mit einer dauerhaften SCA-Befreiung erfolgen? Was ist, wenn es hier irgendwann zu einem Missbrauch kommt? Wer haftet für diese Umsätze? Soweit mir bisher bekannt, soll die Haftung weiterhin beim Herausgeber der Karte liegen. Ob dies wirklich so ist, sollten Unternehmen unbedingt mit ihrem Kartenanbieter schriftlich klären und dann die Inhaber der Karten entsprechend informieren. Denn ich kann mir vorstellen, dass es hier möglicherweise in Zukunft zu AGB Änderungen kommen kann oder dies bereits in AGBs berücksichtigt ist. M eine Em pfehlung: Informieren Sie alle Inhaber von Mitarbeiterkreditkarten und alle buchenden Stellen in Ihrem Haus über diese Veränderungen. Machen Sie darauf aufmerksam, dass es zum Jahresbeginn zu neuen Sicherheitsabfragen kommen wird. Empfehlen Sie sinnvolle Aktionen, wie die Pflege der „White List“, falls dies angeboten wird oder zumindest die erste Buchung im Jahr selbst vorzunehmen bzw. bei der Buchung anwesend zu bleiben, um die SCA-Freigabe fristgerecht binnen 5 Minuten umzusetzen. Sprechen Sie mit Ihren Kreditkartenanbietern, welche Lösungen diese für Ihre Mitarbeiter bieten und bestens fordern Sie eine kurze Einführung in das Kreditkartenportal und z. B. Screenshots damit die Mitarbeiter schnell zu den notwendigen Einstellungen geführt werden. © btm4u - Andrea Zimmermann, Heidelberger Landstraße, 64297 Darmstadt Seite 7 von 11 Ihre Unternehmensberatung für Travel Management Tel. 06151-953237 * E-Mail: andrea.zimmermann@btm4u.de * www.btm4u.de
INFORMATIONEN ZU PSD2 UND SCA Sprechen Sie mir Ihrem Reisebüro, Ihrem OBE-Anbieter, Ihren Mietwagenanbietern, Hotelportalen und anderen Partnern, bei denen bisher und auch zukünftig mit Mitarbeiterkreditkarten gebucht, garantiert oder gezahlt wird. Und das alles zeitnah. Meine Empfehlung lautet seit vielen Jahren, soweit möglich, auf virtuelle Karten oder Reisestellenkarten für Reisebuchungen umzustellen. Gerade jetzt sind Unternehmen, die zumindest bei der Buchung auf diese Karten setzen, im Vorteil. Selbst wenn die Zahlung weiterhin durch den Reisenden bei Abreise/Wagenabholung bezahlt werden soll, entfällt damit die Herausforderung der SCA bei der Buchung. Sprechen Sie mit Ihrem Kreditkartenanbieter, ob er solche Lösungen anbietet und mir Ihren Dienstleistern, ob sie diese Zahllösungen umsetzen können. Bitte denken Sie daran, dass auch eine reine Buchung (ohne Zahlung) eine SCA- Abfrage auslösen kann, wenn der Leistungserbringer eine Kreditkartenprüfung vornimmt bzw. einen Garantiebetrag einbuchen will. Wenn Sie internationale Standorte haben und Dienstleister mit Sitz außerhalb Deutschlands nutzen, denken Sie daran, dass die PSD2 möglicherweise mit Abwandlungen in den Ländern in nationales Recht umgesetzt wurde. NEU Version 2: Welche Risiken haben Sie im Travel Management? Neben den rein organisatorischen Themen die oben aufgeführt sind, liegen die Risiken vor allem bei den eCommerce-Anbietern. Sie sind verpflichtet die PSD2 umzusetzen, sofern sie keine Ausnahme erwirkt haben. Es gibt teilweise Möglichkeiten die PSD2 – zumindest befristet – zu umgehen, wie es scheint. Andere Dienstleister scheinen sich sicher zu sein, dass Sie zu einer Ausnahme (aufgrund sicherer Prozesse) gehören und warten möglicherweise die erst Prüfung durch die Aufsichtsbehörden ab. Das Risiko liegt hier bei den Anbietern, da diese der PSD2 verpflichtet sind. Die Nutzer der Mitarbeiterkreditkarten sollten nur informiert sein, welche Herausforderungen auf sie zukommen können. Möglicherweise wird zum Januar 2021 vieles einfach so weiterlaufen wie bisher, bis es zu Abmahnungen der Anbieter kommt. Ich kann es aktuell nicht einschätzen, will mit diesem Dokument auch nicht unnötig Unruhe erzeugen, sondern nur ermuntern sich der Thematik bewusst zu sein. © btm4u - Andrea Zimmermann, Heidelberger Landstraße, 64297 Darmstadt Seite 8 von 11 Ihre Unternehmensberatung für Travel Management Tel. 06151-953237 * E-Mail: andrea.zimmermann@btm4u.de * www.btm4u.de
INFORMATIONEN ZU PSD2 UND SCA Weitere Informationen (Beispiele für Quellen) https://www.bundesbank.de/de/aufgaben/unbarer-zahlungsverkehr/psd2/psd2- 775434 Als Mitglied im VDR e.V. im Mitgliederportal. Die Mitgliedschaft kann nur jedem Unternehmen mit Travel Management wärmsten empfohlen werden. Interessanter Artikel mit einer guten Tabelle zum Thema https://www.it-finanzmagazin.de/psd2-finale-rts-die-analyse-fuer-banken-62207/ Die SCA-RTS in der aktuellen Fassung findet sich auf der Homepage der EBA u.a. spannend: Artikel 13 – Whitelisting Artikel 14 - Wiederkehrende Zahlungen Artikel 16 – Kleinstbeträge Artikel 17 – Sichere Prozesse und Protokolle Ausnahmemöglichkeiten Eine umfangreiche Lektüre für alle die Zeit und Interesse haben. https://eba.europa.eu/regulation-and-policy/payment-services-and-electronic- money/regulatory-technical-standards-on-strong-customer-authentication-and- secure-communication-under-psd2 In der Anlage finden Sie einen kleinen Mustertext für die Mitarbeiterinformation, vielleicht hilft es, die kurze Zeit effizient zu nutzen. Sollten Sie für dieses oder andere Themen im Business Travel Management Unterstützung benötigen, stehe ich Ihnen, wie schon seit 2002, gerne mit meiner Unternehmensberatung zur Verfügung. Hier biete ich neben umfangreichen Projekten auch kurze telefonische oder virtuelle Beratungen gegen Honorar/Stundesatz an. © btm4u - Andrea Zimmermann, Heidelberger Landstraße, 64297 Darmstadt Seite 9 von 11 Ihre Unternehmensberatung für Travel Management Tel. 06151-953237 * E-Mail: andrea.zimmermann@btm4u.de * www.btm4u.de
INFORMATIONEN ZU PSD2 UND SCA MUSTERTEXT ALS ANREGUNG [Anrede wie es im Unternehmen passt] Bitte beachten Sie die nachfolgende Information, falls Sie im Besitz einer Kreditkarte sind und diese auch anderen, z. B. Assistenzen, Reisestellenmitarbeitenden für Reisebuchungen zur Verfügung stellen. Grundsätzlich machen wir darauf aufmerksam, dass eine persönliche Kreditkarte nur durch den Karteninhaber genutzt werden soll, da in anderen Fällen die Haftungsbegrenzung im Missbrauchsfall entfallen könnte! Bitte bedenken Sie dies immer, wenn Sie Ihre Kartendaten Dritten zur Verfügung stellen. Zum 1.1.2021 ergeben sich durch eine gesetzliche Änderung im Umgang mit Kreditkarten einige wichtige Punkte, auf die wir Sie nachstehend aufmerksam machen möchten. Wichtige Änderungen: Ab dem 1.1.2021 sind alle Verkäufer innerhalb der EU/EWR gesetzlich verpflichtet, bei Kartenzahlungen, bei denen der Karteninhaber nicht persönlich vor Ort ist, eine zusätzliche Sicherheitsabfrage (sogenannte SCA = Strong Customer Authentication) vorzunehmen. Vielfach wird dies eine Nummer sein, die Ihnen per SMS übermittelt wird oder ein Passwort, das Sie vorher festgelegt haben. Auch andere Merkmale sind möglich. Mit unseren Kreditkartenanbieter [Name des Anbieters] haben wir geklärt, dass hier als Sicherheitsmerkmal [Methode] genutzt wird/zur Ihrer Wahl gestellt wird. Sie haben dazu bereits eine Information durch den Kreditkartenanbieter erhalten bzw. erhalten diese in den nächsten Tage [bestens vorher mit dem Anbieter klären]. Wenn Sie ab dem 1.1.2021 eine Buchung durch eine dritte Person vornehmen lassen möchten, wird dies nur begrenzt möglich sein. Diese Person müsste neben den Kartendaten auch Zugang zu der (einmaligen) Authentifizierung erhalten. Also beispielsweise für den Zeitraum der Buchung Ihr Mobiltelefon zur Hand haben. Wir halten dies nicht für sinnvoll und raten von diesem Vorgehen grundsätzlich ab. Sie können [mit dem Anbieter vorher klären!] im Kreditkartenportal zu Ihrer Kreditkarte vertrauenswürdige Portale kennzeichnen und diese Anbieter sozusagen „Whitelisten“. In diesem Fall entfällt für diese Anbieter, soweit bisher bekannt, die Abfrage. Ausnahmen können möglicherweise am Anfang passieren, da es sich um eine neue Vorgehensweise handelt, die immer zu Beginn auch zu Fehlern führen kann. Daher ist besonders bei den ersten Buchungen darauf zu achten, dass Sie erreichbar bleiben. © btm4u - Andrea Zimmermann, Heidelberger Landstraße, 64297 Darmstadt Seite 10 von 11 Ihre Unternehmensberatung für Travel Management Tel. 06151-953237 * E-Mail: andrea.zimmermann@btm4u.de * www.btm4u.de
INFORMATIONEN ZU PSD2 UND SCA Sie haben zukünftig die Wahl [abklären mit dem Anbieter wie das möglich ist] bei einer SCA-Abfrage für diesen Anbieter/Shop eine Freigabe für zukünftige Käufe festzulegen. Wir haben mit unserem Kartenanbieter geklärt, die Haftung bei einem Missbrauch bleibt dabei unverändert und verschlechtert sich nicht [Bitte unbedingt mit dem Anbieter klären]. Nachstehend finden Sie einige Screenshots zum Kreditkartenportal, wo Sie die Schritte zu diesem Thema finden. [Falls Sie das machen möchten oder der Anbieter bietet ggf. eine Vorlage oder einen Film] Sollten Sie Fragen zur Umsetzung im Portal haben, wenden Sie sich direkt an den Kartenanbieter [Servicenummer angeben]. Sollten Sie Fragen haben, stehen wir Ihnen gerne zur Verfügung [falls Sie das selbst übernehmen wollen]. © btm4u - Andrea Zimmermann, Heidelberger Landstraße, 64297 Darmstadt Seite 11 von 11 Ihre Unternehmensberatung für Travel Management Tel. 06151-953237 * E-Mail: andrea.zimmermann@btm4u.de * www.btm4u.de
Sie können auch lesen
